Les enjeux et la complexité à prévoir

Le chantier de conformité demandera de la planification et des changements sont à prévoir au niveau gouvernance, légal, marketing, sur les procédures, les opérations et dans les systèmes d’information. Un des premiers éléments à entreprendre sera de répertorier l’ensemble des renseignements personnels, définir les données sensibles qui y sont rattachées, la raison pour laquelle chaque récurrence de ces données est nécessaire, la méthode utilisée pour la collecte et le consentement associé. Une cartographie des données est donc fortement recommandée pour mener à bien l’ensemble du chantier. Évidemment, chaque organisation aura une complexité plus ou moins élevée, selon sa taille et selon le type de données qu’elle gère. Outre la cartographie des données, quels sont les éléments prévus à la loi qui risquent d’avoir des implications plus élevées?

• Politique de confidentialité : Un citoyen doit être en contrôle de ses renseignements personnels. Une politique claire doit informer le citoyen de manière claire et transparente. Notamment, les renseignements personnels   qui sont collectés, des fins pour lesquelles les renseignements sont recueillis, des moyens par lesquels les renseignements sont recueillis, de leurs droits, de la durée de conservation des renseignements et des coordonnées du responsable de la protection des renseignements personnels.

• Le droit à la transparence, la rectification, à l’effacement et la portabilité : Le citoyen a plus de pouvoir concernant ses données. Il pourra demander à obtenir auprès des organisations la donnée le concernant, valider celles-ci et demander la rectification, la suppression et la portabilité. Pour satisfaire ce droit, les organisations doivent avoir un mécanisme d’extraction des données dans un format standard.

• Encadrement des décisions fondées exclusivement sur un traitement automatisé: Pour les systèmes plus évolués basant des décisions automatisées sur des renseignements personnels, une transparence sera requise concernant le processus décisionnel ayant mené à la décision. Les personnes pourront obtenir l’information décisionnelle utilisée pour garder le contrôle et s’assurer que la bonne décision soit rendue. Les organisations ayant ce type de système, basé sur l’analyse ou l’intelligence artificielle devront documenter leur processus décisionnel et être en mesure d’expliquer la prise de décision à un citoyen.

• Transparence à l’égard des incidents de confidentialité: En cas d’incident de confidentialité, les organisations ont l’obligation de prendre les mesures requises afin de réduire les risques de préjudice pour les personnes concernées et aussi d’agir afin d’éviter que ce type d’incident ne se reproduise. Dans les cas où un préjudice sérieux pour les personnes concernées pourrait s’ensuivre, les organisations sont tenues d’informer les personnes concernées et d’aviser la commission d’accès à l’information de l’incident. Les organisations doivent garder un registre de tous les incidents de confidentialités, lequel pourra être consulté par la commission d’accès à l’information.

• La protection de la vie privée dès la conception est par défaut: L’évaluation des facteurs relatifs à la vie privée permet de déterminer si des initiatives ou projets, comportant l’usage de renseignements personnels, posent des risques pour la protection de la vie privée.  Cette évaluation des facteurs de risques permet également de mesurer, de décrire et de quantifier ces risques ainsi que de proposer des solutions dans le but de les éliminer ou de les ramener à un niveau acceptable. Il est implicite que les renseignements personnels soient automatiquement protégés sans qu’aucune action supplémentaire soit requise de la part d’un particulier. Cet exercice oblige l’organisation à se questionner, dès le début d’un projet, sur les risques que celui-ci soulève et sur les mesures à prendre afin de s’assurer du respect des principes de protection des renseignements personnels.

• Le consentement:  Un consentement à la collecte, à l’utilisation ou à la communication des renseignements personnels devra être demandé de façon distincte pour chaque type prévu par la loi et séparément de toute autre information communiquée aux personnes. Certains renseignements nécessitent un degré de protection plus élevé considérant les risques plus importants d’atteinte à la vie privée. Pour les jeunes de moins de 14 ans, il sera exigé que le consentement soit donné par le titulaire de l’autorité parentale pour la collecte, l’utilisation ou la communication des renseignements personnels. Ces obligations pourront avoir un impact significatif sur les processus de collecte actuels et les systèmes concernés.